La CNIL a infligé une amende de 40 millions d’euros pour des violations liées aux données personnelles au groupe français de publicité sur Internet Criteo. Celui-ci entend faire appel de la décision.
La CNIL, garante de la vie privée des Français, avait lancé une enquête en mars 2020 après des plaintes déposées par les associations Privacy International et None of Your Business. En août 2022, son rapporteur avait proposé une sanction de 60 millions d’euros contre la société Criteo, fondée en 2005 en France et spécialisée dans l’affichage de publicités ciblées sur le Web, via un cookie collectant les données de navigation des internautes.
L’autorité française lui reproche cinq manquements au règlement de l’Union européenne sur la protection des données personnelles (RGPD), notamment l’absence de preuve du consentement des personnes au traitement de leurs données et une entorse à l’obligation d’information et de transparence.
De plus, la CNIL reproche à Criteo un manquement relatif à l’information des personnes et souligne que le groupe a engendré une perte de contrôle des internautes sur leurs données dans la mesure où la société n’a pas mis à leur disposition une information complète et compréhensible.
Concernant l’exercice des droits d’accès, de retrait du consentement et d’effacement, l’autorité souligne leur caractère structurel et leur gravité en ce que les mesures déployées par la société conduisent non seulement à ce que les demandes des personnes soient incorrectement traitées mais aussi à ce que ces dernières pensent légitimement que leur demande a bien été respectée.
D’autre part, la CNIL rappelle également que la prise en compte par la société d’une demande d’effacement a pour unique effet d’arrêter l’affichage de publicités personnalisées, la société continuant par ailleurs à conserver les données de la personne à l’origine de la demande et même à les utiliser pour d’autres finalités.
